Beveiligingsonderzoekers waarschuwen voor een langdurige campagne die bekendstaat als Help TDS Hotejka. Daarbij fungeert een zogenoemde Traffic Distribution System (TDS) als verkeerspost die bezoekers — vaak afkomstig van gecompromitteerde websites en affiliate-achtige doorverwijzingen — dynamisch doorstuurt naar tech support scams. In de recente observaties duiken bovendien duizenden domeinen op die via Cloudflare Pages worden ingezet.
Het gaat niet om “klassieke” kaartfraude, maar om een route naar misleiding en vervolgens naar (mogelijk) remote toegang. De aanpak combineert browsermanipulatie, scareware-achtige waarschuwingen en telefooncalls waarbij slachtoffers worden overtuigd om tools te installeren die de aanvallers vervolgens gebruiken om zich opnieuw toegang te verschaffen.
Wat is Help TDS Hotejka?
Help TDS is volgens de rapportage al sinds minstens 2017 actief. Het systeem levert volgens Infoblox niet zomaar redirects, maar tech support scams die gebruikers naar callcenters leiden. Dat gebeurt via een keten van doorverwijzingen die inzet op technische vertraging of “no escape”-interacties in de browser.
Hotejka wordt in dit verband beschouwd als een (mogelijke) rebrand van een eerdere campagne rond traffic monetization, die in eerdere analyses ook bekend stond als ROI777. Door de tijd heen lijkt de infrastructuur te zijn doorontwikkeld, terwijl de kern hetzelfde blijft: verkeer wordt geselecteerd, gefilterd en vervolgens doorgestuurd naar een passende scam of vervolgroute.
Hoe werkt de TDS-verkeersrouter?
Een Traffic Distribution System werkt in feite als een relay of verkeersregelaar. Het systeem onderschept bezoekersstromen die afkomstig zijn van verschillende bronnen, zoals gecompromitteerde websites, kwaadwillige advertenties, social media-berichten of SEO-spam. Daarna volgt een beoordeling van de bezoeker, waarna het TDS de volgende bestemming kiest.
De rapportage beschrijft dat Help TDS onder andere gebruikmaakt van browser fingerprinting en informatie over de locatie. Op basis daarvan wordt bepaald welke route de bezoeker krijgt. Bovendien wordt er gespeculeerd dat ook signalen zoals apparaatmetadata, IP-reputatie en checks voor headless browsers kunnen bijdragen aan die keuze.
Het idee is dat het TDS niet alleen doorstuurt, maar ook “optimaliseert” voor de winstgevendheid van de scamketen: verschillende doelgroepen krijgen verschillende pagina’s, landing pages of vervolgdomeinen. In de praktijk leidt dat tot scareware-interactie, nepwaarschuwingen en uiteindelijk telefoon-gebaseerde social engineering.
Van gecompromitteerde sites naar valse Windows-alerts
Een belangrijk element in de scam is browsermanipulatie. Slachtoffers krijgen te maken met schermvullende meldingen en technieken die het moeilijk maken om snel uit de pagina of flow te stappen. De inhoud richt zich daarbij op valse Windows security alerts waarin slachtoffers worden aangemoedigd om een “Windows Support”-nummer te bellen.
Wanneer het slachtoffer contact opneemt, wordt volgens de rapportage social engineering gebruikt om remote desktop software te laten installeren. Daarna kan de aanvaller tijd en mogelijkheden van het slachtoffer misbruiken om herhaald toegang te krijgen — met andere woorden: het is een route naar remote access, niet slechts éénmalige schade.
Volgens de onderzoekers is er ook sprake van extra lagen: na de scareware kunnen vervolgflows leiden naar pagina’s met nep-CAPTCHA-achtige checks. Daarbij probeert de scam browser push-notificaties te laten inschakelen, wat vervolgens kan bijdragen aan spamstromen.
De rol van WordPress-injecties en affiliate-doorverwijzingen
In eerdere observaties werd beschreven dat de campagne websites beïnvloedt via injecties. In augustus 2025 werd bijvoorbeeld door GoDaddy gedocumenteerd dat een kwaadaardige WordPress-plugin met de naam woocommerce_inputs werd gebruikt op duizenden websites om WordPress-gebruikersgegevens te verzamelen en redirects te faciliteren.
De plugin (of alternatief een aangepaste HTML-blok) wordt daarbij geïnjecteerd door affiliates van Hotejka. Daarbij worden redirectdoelen opgehaald via command-and-control (C2) servers. Daarmee ontstaat een schaalbare methode: niet één website is besmet, maar veel sites worden ingezet als “ingang” tot dezelfde verkeersinfrastructuur.
Ook blijkt uit historische analyses dat Help TDS in bepaalde perioden verkeer doorgeeft aan andere cybercrime-operators en affiliateprogramma’s. Daardoor kan dezelfde bezoekerketen naadloos doorgaan naar andere soorten schadelijke content of risicovolle downloads.
Keitaro als onderliggende trackinglaag (volgens de rapportage)
De rapportage koppelt Help TDS aan Keitaro, een advertentie- en performance tracking platform dat bekendstaat als misbruikbaar door verschillende dreigingsactoren. In deze opzet wordt Keitaro gebruikt als basislaag waarop de scamlogica en distributiebeslissingen draaien.
Zo kunnen operators snel schakelen tussen doelen en bestemmingen. Bovendien past dit bij het concept van affiliate marketing: verkeer wordt ingekocht of aangeleverd via partners, waarna een platform de juiste route kiest om rendement te maximaliseren.
Cloudflare Pages: nieuwe weg om scams te distribueren
Een opvallende update is de schaal waarop Cloudflare Pages sinds april 2026 wordt ingezet. De scams zouden draaien op gratis Cloudflare Pages-sites met domeinen op het formaat *.pages[.]dev. Er wordt gemeld dat er ongeveer 300 disposable pagina’s per dag worden aangemaakt.
Sinds die start zouden er meer dan 20.000 van dergelijke domeinen zijn waargenomen. Voor organisaties en websitebeheerders betekent dit dat de “landing” van de scam snel kan veranderen en dat blokkeren op basis van één vast domein minder effectief kan zijn.
Voor extra context: ook bij andere infrastructuur-gerelateerde incidenten zie je dat aanvallers graag variëren in deliverykanalen en dat patched kwetsbaarheden slechts één stuk van het verhaal zijn. Als je breder wilt kijken naar hoe updates en misbruik samenkomen, kan ook dit bericht relevant zijn: NGINX fixes: 5 kwetsbaarheden en RCE-risico.
Waarom deze keten lastig te stoppen is
De sterkte van Help TDS Hotejka zit in de combinatie van factoren: een router die verkeer beoordeelt, meerdere affiliate-ingangen, en dynamische bestemmingen. Daardoor is de campagne niet één vaste URL, maar een systeem dat in realtime kan sturen op basis van bezoekkenmerken.
Daarnaast is er een menselijke factor. De scam is ontworpen om slachtoffers emotioneel te prikkelen en snel tot actie te bewegen via telefooncalls. Zelfs wanneer technische signalen (zoals verdacht gedrag in de browser) worden opgemerkt, blijft social engineering vaak een groot risico.
Wat kun je als organisatie of beheerder doen?
Omdat de rapportage zich richt op redirects en scamflows, ligt de focus voor defensie op het beperken van de “ingang” en het herkennen van misbruik van websitecontent. Concreet helpt het om:
- WordPress en plugins up-to-date te houden en verdachte wijzigingen in thema’s, plugins of custom HTML-blokken te controleren.
- Verkeers- en redirectpatronen te monitoren: onverwachte outbounds, nieuwe affiliate-achtige parameters of plotselinge geolocatie-afhankelijke routes kunnen wijzen op TDS-achtige injecties.
- Gebruik van disposable domeinen en variabele hosting te betrekken in detectie: blocklists alleen zijn zelden genoeg als aanvallers continu nieuwe endpoints maken.
- Gebruikers bewust te maken van tech support scams: echte beveiligingsmeldingen komen meestal niet met een direct telefoonnummer dat remote tools afdwingt.
Als je daarnaast vooral interesse hebt in de bredere dreigingsomgeving rond “scamketens” en misleiding via techniek, dan kan deze analyse helpen bij het denken over preventie: Fake AI-aanvallen: zo beperk je incidenten vroeg. Hoewel het onderwerp verschilt, is het onderliggende principe (snelle herkenning en tijdig ingrijpen) vergelijkbaar.
Conclusie
Help TDS Hotejka laat zien hoe cybercriminelen traffic monetization kunnen omzetten in een schaalbare tech support scam-machine. Via een TDS-verkeersrouter worden bezoekers dynamisch naar valse Windows-alerts geleid, waarna social engineering naar remote desktop tools centraal komt te staan. De recente verschuiving naar duizenden Cloudflare Pages-domeinen versterkt het idee dat de campagne continu kan vernieuwen.
Voor beheerders betekent dit: kijk niet alleen naar één verdacht domein, maar naar de hele keten — van website-integriteit en injecties tot monitoring van redirects en het beperken van menselijke speelruimte. Alleen dan verklein je de kans dat slachtoffers in deze scamflows terechtkomen.
Bron: https://thehackernews.com/2026/10/help-tds-linked-to-hotejka-as-20000.html
